MISE À JOUR N° 2-La société indienne eMudhra se retire du secteur de la sécurité des sites web après que des failles ont déclenché une alerte mondiale
par Abhirami G
22 octobre (Reuters) - La société de sécuriténumériqueeMudhra EMUD.NS se retire de son activité mondiale de délivrance de certificats de sécurité pour les sites web, notamment le portail fiscal indien, après que les principaux éditeursde navigateurs les ont bloqués en raison de failles de sécurité qui ont suscité des inquiétudes mondiales en matière de cybersécurité.
La société a annoncé sa décision jeudi après que des géants de la technologie, notamment Google GOOGL.O, Apple AAPL.O et Microsoft MSFT.O, ont cessé de faire confiance à ses certificats SSL/TLS, qui chiffrent les données échangées entre les utilisateurs et les sites web afin d’empêcher les pirates de les intercepter.
Ces failles ont été mises au jour ce week-end, lorsqu’un chercheur indépendant spécialisé dans la cybersécurité a découvert que plusieurs des principaux certificats d’eMudhra pouvaient faire l’objet d’attaques.
La clientèle d’eMudhra va des géants de l’informatique tels qu’Infosys INFY.NS et TCS TCS.NS aux agences gouvernementales, et ses certificats protègent des sites aussi importants que le portail indien dédié à l’impôt sur le revenu .
"Les certificats d’eMudhra sont reconnus à l’échelle internationale, et une telle vulnérabilité a entraîné une perte de confiance au sein du paysage mondial de la cybersécurité", a déclaré Mredul Sarda, fondateur de la société de cybersécurité Causal Security, basée à San Francisco.
Cette faille est passée inaperçue pendant les 18 derniers mois et a échappé à deux séries d’audits, a précisé eMudhra dans son communiqué.
Ces failles provenaient de huit clés générées par eMudhra en avril de l’année dernière, qui avaient été raccourcies par erreur par son logiciel, ce qui les rendait nettement moins sûres, a expliqué à Reuters le cofondateur Kaushik Srinivasan.
Les clés cryptographiques sont de longues chaînes de caractères utilisées pour chiffrer et déchiffrer des données lorsqu’elles passent par un algorithme. Or, les clés d’eMudhra étaient suffisamment courtes pour que le chiffrement soit plus facile à contourner.
"Une seule autorité de certification compromise peut usurper l’identité de n’importe quel site web", a déclaré Lukasz Olejnik, consultant indépendant etchercheur senior invité au département d’études sur la guerre du King’s College de Londres.
Les navigateurs ont rapidement bloqué les certificats compromis, mais les appareils connectés à Internet dont les mises à jour sont moins fréquentes pourraient rester exposés. "Des millions d’appareils plus anciens pourraient rester exposés au risque pendant des années, voire pour toujours, car ils continueront à faire confiance à ces certificats", a déclaré M. Olejnik.
L'équipe indienne d'intervention en cas d'urgence informatique (CERT) a déclaré mercredi que certains certificats intermédiaires d'eMudhra avaient été compromis.
eMudhra a indiqué avoir retiré huit certificats, mais a affirmé que son infrastructure n’avait pas été compromise et qu’aucune fuite de données n’avait eu lieu.
Selon l’entreprise , l’attention des réseaux sociaux a attiré une attention disproportionnée sur une activité qui ne représente que 1 % de son chiffre d’affaires.
Les investisseurs ont réagi vivement, le cours de l’action eMudhra ayant chuté de 40% au cours des deux jours qui ont suivi la révélation de cette faille.
(Dans l'intérêt des personnes dont l'anglais n'est pas la langue maternelle, Reuters automatise la traduction de ses articles dans un certain nombre d'autres langues. Étant donné que la traduction automatique peut générer des erreurs ou ne pas inclure le contexte nécessaire, Reuters ne garantit pas l'exactitude du texte traduit automatiquement, mais fournit ces traductions uniquement pour la commodité de ses lecteurs. Reuters décline toute responsabilité en cas de dommages ou de pertes de quelque nature que ce soit causés par l'utilisation de la fonction de traduction entièrement automatisée.)